BOLETÍN OFICIAL DEL ESTADO
Núm. 259

Miércoles 30 de septiembre de 2020

Sec. III. Pág. 82541

4. Mediante acuerdo de la Comisión Mixta de Coordinación y Seguimiento podrá
concretarse cualquier aspecto relacionado con el procedimiento de suministro de
información establecido por este Convenio que precise de desarrollo.
Octava.

Control y seguridad de los datos suministrados.

1. El control y seguridad de los datos suministrados se regirá por lo dispuesto en el
Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de
Seguridad en el ámbito de la Administración Electrónica modificado por el Real
Decreto 951/2015, de 23 de octubre, y en la Política de Seguridad de la Información de
la Agencia Tributaria y del ISM.
2. Se establecen los siguientes controles sobre los accesos, la custodia y la
utilización de la información suministrada al amparo de este Convenio:
a) Control interno por parte del ente cesionario de la información.
El ISM realizará controles sobre la custodia y utilización que de los datos recibidos
realicen las autoridades, funcionarios o resto de personal dependiente del mismo,
informando a la Comisión Mixta de Coordinación y Seguimiento de los resultados
obtenidos en dicho seguimiento.
Contará con una política de seguridad de la información, un análisis y gestión de
riesgos y una asignación explícita de responsabilidades en materia de seguridad
adecuadas para su misión, objetivos y tamaño y deberá aplicar dichos mecanismos de
seguridad a la información suministrada por la Agencia Tributaria.
Impedirá el acceso a la información suministrada por parte de personal no
autorizado, estableciendo la trazabilidad de los accesos a la información suministrada y
desarrollando auditorías del acceso a los datos con criterios aleatorios y de riesgo.
Adoptará medidas específicas que eviten el riesgo de que la información pueda ser
utilizada, incluso inadvertidamente, para otros propósitos o por personal en el que
concurra algún conflicto de intereses, así como medidas que aseguren el cumplimiento
de las condiciones que sustentan cada una de las cesiones.
b)

Control por el ente titular de la información cedida.

La Agencia Tributaria aplicará los controles ordinarios derivados de su sistema de gestión
de la seguridad de la información. En particular, tas cesiones de información realizadas
quedarán registradas en el sistema de control de accesos de la Agencia Tributaria. El Servicio
de Auditoría Interna de la Agencia Tributaria podrá acordar otras actuaciones de
comprobación al objeto de verificar la adecuada obtención y utilización de la información
cedida y de las condiciones normativas o convencionales que resultan de aplicación.
Tratamiento de datos personales.

En el caso de que la información incorpore datos personales de los interesados,
tanto el cedente, la Agencia Tributaria, como el cesionario, el ISM, tratarán los datos de
acuerdo al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de
abril de 2016 y a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos
Personales y garantía de los derechos digitales.
Los datos tratados en este Convenio tienen la categorización de información
tributaria.
En el caso del cedente de los datos, la Agencia Tributaria, el Responsable del
Tratamiento a efectos del Reglamento General de Protección de Datos es el titular de la
Dirección General.
En el caso del cesionario de los datos, el ISM, el Responsable del Tratamiento a los
efectos del Reglamento General de Protección de Datos es el titular de la Subdirección
General de Seguridad Social de los Trabajadores del Mar.

cve: BOE-A-2020-11471
Verificable en https://www.boe.es

Novena.